Kubernetes 在 Debian 上的容器运行时选择
一、可选运行时与版本要求
- 自 Kubernetes v1.24 起，内置的 dockershim 已被移除，Kubernetes 仅直接支持符合 CRI（Container Runtime Interface） 标准的运行时。主流可选为：containerd 与 CRI-O。在 Debian 12 等现代发行版上，使用 containerd 的实战方案成熟稳定。若必须使用 Docker 生态，可通过 cri-dockerd 适配层来继续使用 Docker Engine，但这并非 Kubernetes 的默认内置路径。
二、如何选择
- 优先选择 containerd：调用链更短（kubelet → containerd → runC）、组件更少、资源占用更低、稳定性与可维护性更好，适合绝大多数生产场景与 kubeadm 部署流程。
- 选择 CRI-O：面向 Kubernetes 的轻量级 CRI 实现，调用链简洁（kubelet → cri-o → runC），在 RHEL/CentOS 生态与 OpenShift 中应用广泛；在 Debian 上也可用，但社区与文档以 containerd 为主流。
- 必须使用 Docker 的场景（如依赖 docker API/CLI、docker compose/swarm、DinD）：安装 cri-dockerd 作为 shim，使 Docker Engine 通过 CRI 接入；注意此时运维与排障工具以 crictl 为主，Docker CLI 主要服务于镜像构建/推送等开发流程。
三、Debian 上的快速推荐
- 新集群与通用生产场景：选用 containerd + kubeadm。在 Debian 12 上已有成熟的部署实践，网络插件可选 Calico/Flannel 等，按官方清单一键安装并初始化集群即可。
四、关键注意事项
- 必备系统设置：关闭 Swap（如执行
swapoff -a 并注释 /etc/fstab 中的 swap 条目）；加载内核模块 overlay、br_netfilter；开启桥接与转发：net.bridge.bridge-nf-call-iptables=1、net.bridge.bridge-nf-call-ip6tables=1、net.ipv4.ip_forward=1，并执行 sysctl --system 使配置生效。
- 运维工具与命令映射：使用 crictl 替代 Docker CLI 做节点侧调试（如
crictl images/ps/logs/exec），注意其输出字段与 Docker 存在差异；镜像构建/推送可用 Docker，但需推送到镜像仓库后由 containerd 拉取使用。
- 版本与兼容性核对：确保 Kubernetes 版本 ≥ v1.24 时不使用内置 dockershim；若使用 cri-dockerd，需确认其与目标 K8s 版本的适配；安装 kubelet/kubeadm/kubectl 后可用
apt-mark hold 锁定版本，避免非预期升级。